Cum pot afla ce program este executat printr-un PID care este încheiat

Am descoperit că există un program care mi-a ucis Apache în mod regulat, conform informațiilor din jurnal, înțeleg că există un program care folosește „/etc/init.d/apache2 stop” pentru a opri apache, deoarece acest proces a dispărut, cum pot găsi din care program aparține acest PID?

journalctl -o verbose _PID=16630
-- Jurnalele încep la joi 2021-10-28... 
    [s=b8b9ba8c0b3a434ab134b8e39ad9a421;...]
    SYSLOG_FACILITY=3
    PRIORITATE=6
    _UID=0
    _GID=0
    _SYSTEMD_SLICE=system.slice
    _BOOT_ID=dac5e28c70d04920ad8b140efa
    _MACHINE_ID=b66fd2c1b04547d4b1471c0e
    _HOSTNAME=server
    _CAP_EFFECTIVE=3fffffffff
    _TRANSPORT=stdout
    _CMDLINE=/bin/sh /etc/init.d/apache2 stop
    _EXE=/bin/dash
    SYSLOG_IDENTIFIER=apache2
    _COMM=apache2
    _SYSTEMD_UNIT=apache2.service
    MESAJ= * Oprirea serverului web Apache httpd apache2

Ar trebui să verifici dmesg pentru ieșirea nucleului. Un posibil vinovat este gestionarea kernel-ului Out-Of-Memory, care preia un proces și îl încheie atunci când există presiune în memoria sistemului.

Acest eveniment este înregistrat în jurnalul de kernel afișat de dmesg.

Odată ce un proces s-a încheiat, toate informațiile despre acesta dispar, cu excepția celor înregistrate în timp ce rula. Informațiile pe care le căutați (care comandă a fost rulată cu acel PID) pur și simplu nu mai există.

Singura ta șansă este să înregistrezi informațiile în timp ce procesul încă rulează. Dacă sunteți sigur că uciderea are loc executând comanda /etc/init.d/apache2 stop atunci o cale ar fi să adăugați logare la script /etc/init.d/apache2. Doar inserând o linie ca

 /bin/ps axf >> /tmp/apachekillertracker.log

undeva aproape de începutul scriptului s-ar putea să facă deja truc, deoarece va arunca arborele de proces în /tmp/apachekillertracker.log de fiecare data /etc/init.d/apache2 este rulat pentru a fi verificat mai târziu.

Dacă se dovedește că uciderea nu s-a încheiat /etc/init.d/apache2 la urma urmei, atunci ai putea cerceta contabilitatea proceselor pentru a afla ce se desfășura la momentul uciderii.